Kritik vm2 Node.js Boşluğu Sandbox-dan Yayınma və İstənilən Kodun İcrasına Yol Açar

vm2 Node.js Kitabxanasında Ciddi Təhlükəsizlik Riski

Məşhur vm2 Node.js kitabxanasında kritik bir sandbox escape təhlükəsizlik boşluğu aşkar edilib. CVE-2026-22709 identifikasiya nömrəsi ilə qeydə alınan bu boşluq, uğurla istismar edildiyi təqdirdə, təcavüzkarlara əsas əməliyyat sistemində istənilən kodu (Arbitrary Code Execution – RCE) icra etməyə imkan yaradır. Təhlükəsizlik ciddiliyi CVSS balı sistemi üzrə 10.0 baldan 9.8 balla qiymətləndirilib ki, bu da onun son dərəcə yüksək risk daşıdığını göstərir.

Boşluğun Təfərrüatları və Təsiri

vm2, Node.js mühitində etibarsız kodu təhlükəsiz şəkildə işə salmaq üçün istifadə olunan bir sandbox həllidir. Bu, xüsusilə istifadəçilərin təqdim etdiyi kodun icra olunduğu tətbiqlərdə geniş istifadə olunur. Aşkar edilən zəiflik, sandbox-ın məhdudlaşdırıcı mexanizmlərindən yan keçməyə imkan verən “sandbox escape” tiplidir. Məlumata görə, bu boşluq vm2-nin 3.10.0 versiyasında və əlaqəli Promise.prototype.then və Promise.prototype.catch mexanizmlərində mövcuddur.

Boşluğun istismarı nəticəsində təcavüzkarlar sandbox-dan kənara çıxaraq əsas sistemdə tam nəzarəti ələ ala bilərlər. Bu isə məlumatların oğurlanması, sistemin iflic edilməsi və ya digər zərərli əməliyyatların icra olunması kimi ciddi nəticələrə səbəb ola bilər. Təhlükəsizlik mütəxəssisləri, bu kritik boşluğun qarşısını almaq üçün vm2 kitabxanasının istifadəçilərinə dərhal yeniləmələri tətbiq etməyi tövsiyə edir və sistemlərini potensial hücumlara qarşı daim yoxlamağa çağırır.